OpenSSL 3.0.1 আপডেট দুর্বলতা সংশোধন করে

OpenSSL ক্রিপ্টোগ্রাফিক লাইব্রেরি 3.0.1 এবং 1.1.1m এর সংশোধনমূলক রিলিজ উপলব্ধ। সংস্করণ 3.0.1 দুর্বলতা সংশোধন করেছে (CVE-2021-4044), এবং উভয় রিলিজে প্রায় এক ডজন বাগ সংশোধন করা হয়েছে।

দুর্বলতা SSL/TLS ক্লায়েন্টের বাস্তবায়নে বিদ্যমান এবং এই সত্যের সাথে সম্পর্কিত যে libssl লাইব্রেরি ভুলভাবে X509_verify_cert() ফাংশন দ্বারা প্রত্যাবর্তিত নেতিবাচক ত্রুটি কোডগুলি পরিচালনা করে, যা সার্ভার দ্বারা ক্লায়েন্টের কাছে প্রেরিত শংসাপত্র যাচাই করতে বলা হয়। অভ্যন্তরীণ ত্রুটি ঘটলে নেতিবাচক কোড ফেরত দেওয়া হয়, উদাহরণস্বরূপ, যদি বাফারের জন্য মেমরি বরাদ্দ না করা যায়। যদি এই ধরনের একটি ত্রুটি ফেরত দেওয়া হয়, SSL_connect() এবং SSL_do_handshake() এর মতো I/O ফাংশনে পরবর্তী কলগুলি ব্যর্থতা এবং একটি SSL_ERROR_WANT_RETRY_VERIFY ত্রুটি কোড ফিরিয়ে দেবে, যা শুধুমাত্র যদি অ্যাপ্লিকেশনটি আগে SSL_CTX_set_callback_verify-এ একটি কল করে থাকে তবেই ফেরত দেওয়া উচিত৷

যেহেতু বেশিরভাগ অ্যাপ্লিকেশন SSL_CTX_set_cert_verify_callback() কল করে না, তাই একটি SSL_ERROR_WANT_RETRY_VERIFY ত্রুটির ঘটনাটি ভুল ব্যাখ্যা করা যেতে পারে এবং এর ফলে একটি ক্র্যাশ, লুপ বা অন্য ভুল প্রতিক্রিয়া হতে পারে। সমস্যাটি OpenSSL 3.0-এ অন্য একটি বাগ-এর সংমিশ্রণে সবচেয়ে বিপজ্জনক, যা "বিষয় বিকল্প নাম" এক্সটেনশন ছাড়াই X509_verify_cert()-এ শংসাপত্র প্রক্রিয়াকরণের সময় একটি অভ্যন্তরীণ ত্রুটি সৃষ্টি করে, কিন্তু ব্যবহারের বিধিনিষেধের সাথে নাম বাঁধাই। এই ক্ষেত্রে, আক্রমণ শংসাপত্র পরিচালনা এবং TLS সেশন প্রতিষ্ঠায় অ্যাপ্লিকেশন-নির্দিষ্ট অসঙ্গতির দিকে নিয়ে যেতে পারে।

উত্স: opennet.ru